LockBit 5.0 trafia Actua na listę: rozproszone wycieki i koniec łatwych takedownów
LockBit od lat jest najbardziej rozpoznawalną marką ransomware: przetrwała skoordynowany międzynarodowy takedown w 2024 i odbudowała się pod numeracją wersji, która teraz czyta 5.0. Jej najnowszy listing pokazuje, jak mało wyhamował playbook szantażu. Według ustaleń zgłoszonych przez ZATAZ, ekipa twierdzi, że włamała się do Actu, francuskiej grupy pracy tymczasowej i usług kadrowych, i zapowiada publikację skradzionych plików na początku września.
Grożony łup jest na tyle konkretny, że boli. Wpis LockBit w darkwebie opisuje zestaw dokumentów obejmujący paszporty, dyplomy, CV i zaświadczenia ubezpieczeniowe dotyczące ponad 100 000 zrekrutowanych osób. Actua nie jest butikowym celem: grupa prowadzi 37 agencji, współpracuje z ponad 1 800 firm partnerskich i miesięcznie zatrudnia około 3 000 pracowników tymczasowych. Firma pracy tymczasowej jest z założenia magazynem dokładnie tych dokumentów tożsamości, z którymi ekipy ransomware lubią machać.Twierdzenie kontra to, co każdy może zweryfikować
Tu ostrożność się opłaca. ZATAZ zauważa, że nic z tego, co LockBit opublikowała do tej pory, nie pozwala niezależnie zweryfikować ani wolumenu, ani wektora włamania. Liczba 100 000 osób pochodzi wprost od atakujących i nie wynika z niej, że każda wymieniona osoba figuruje w każdej kategorii dokumentów. Twierdzenie nie mówi nic o tym, jak intruzi weszli, kiedy po raz pierwszy uzyskali dostęp ani jak długo się zatrzymali. Pozostaje całkowicie możliwe, jak spostrzega ZATAZ, że przestępcy nie dotknęli niczego ponad jeden komputer w jednym regionalnym biurze. Ta przepaść między liczbą z nagłówka a dającą się udowodnić rzeczywistością nie jest kaprysem tego przypadku. Listingu na leak site'ach to dokumenty marketingowe. Liczby ofiar się pompują, kategorie dokumentów się zlewają, a najgłośniejsze sformułowanie wygrywa uwagę, niezależnie czy pod spodem archiwum pasuje. Historia oferuje mnóstwo przykładów, gdy zadeklarowane megabajty drastycznie się kurczyły, gdy dumpy naprawdę lądowały. Dopóki pliki nie wypłyną i ktoś ich nie policzy, uczciwy opis twierdzenia o Actu brzmi: niezweryfikowane, kształtem prawdopodobne, skalą nieudowodnione. Actua ze swojej strony nie odpowiedziała na prośby o komentarz. Milczenie w pierwszych dniach listingu jest powszechne, zwłaszcza gdy trwa wyjaśnianie francuskich obowiązków powiadamiania o breachu. Ale zostawia kandydatów i pracowników tymczasowych w niezręcznym położeniu: groźba jest publiczna, dowody nie, a wrzesień blisko.Dziesięć lokalizacji przechowywania naraz
Naprawdę nowy element jest taktyczny. Zamiast obiecywać pojedynczy URL dumpa, LockBit 5.0 ogłasza zamiar rozesłania wycieku równocześnie do dziesięciu różnych lokalizacji przechowywania. ZATAZ czyta to słusznie jako strategię rozproszenia: mnożenie punktów dostępności tak, by usunięcie dowolnego z nich niewiele dawało, a szybki takedown stawał się grą w whack-a-mole przez jurysdykcje i dostawców. Kontekst czyni ruch czytelnym. W lutym 2024 operacja Cronos przejęła infrastrukturę LockBit na dziesiątkach serwerów, zastąpiła strony leak site'ów sztandarami organów ścigania i ogólnie upokorzyła markę (KrebsOnSecurity). Operacja zadziałała, bo LockBit koncentrowała publikację na infrastrukturze, którą można zlokalizować i przejąć. Rozproszone wycieki są bezpośrednią odpowiedzią na tę lekcję: jeśli ładunek leży w dziesięciu miejscach, zanim ktokolwiek wie gdzie, przejęcie jednego prawie nic nie zmienia.Co rozproszenie znaczy dla śledzenia
Dla każdego, kto śledzi dostępność leak site'ów, to znaczy więcej niż liczba ofiar. Stary model zakładał gardło: zbij blog szantażowy albo jego CDN, a kampania nacisku stanęła. Rozproszenie usuwa gardło. Uptime pojedynczego endpointu przestaje być znaczącym sygnałem, bo kampania z definicji przeżywa częściowe awarie. Monitoring musi się rozszerzyć z jednego adresu onion na zmienny zestaw mirrorów, bucketów i hostów w stylu paste, z których część może wcale nie być onion service'ami. To odbija wzorzec dawno znajomy z historii darknet market'ów, gdzie listy oficjalnych linków i redundantne mirrory stały się wyposażeniem przetrwania po powtarzających się przejęciach. Mechanikę tego wyścigu zbrojeń opisaliśmy w naszym materiale o tym, dlaczego mirrory pokazują offline, i te same dynamiki działają tutaj: redundancja pokonuje usuwanie w pojedynczym punkcie, ale też mnoży powierzchnie, na których kumulują się nieaktualne linki, podróbki i martwe endpointy. Rozproszony wyciek gwarantuje, że część z dziesięciu lokalizacji będzie w ciągu dni fałszywa, zepsuta albo zastawiona pułapką.Czytając najbliższe tygodnie
Praktyczny wniosek rozdziela się na trzy:- Dla śledzonych osób rozsądną postawą jest ostrożność bez paniki: traktować liczbę 100 000 jako niepotwierdzoną, wypatrywać rzeczywistej publikacji i zakładać, że fale phishingu będą eksploatować nagłówki, niezależnie od tego, czy prawdziwe dokumenty kiedykolwiek się pojawią.
- Dla obrońców lekcja jest taka, że początek września to termin wyznaczony przez atakującego, a terminy w tym gatunku stale się przesuwają; odliczania istnieją, by tworzyć pilność, nie dokładność.
- Dla analityków i monitorujących dziesięć równoczesnych punktów drop oznacza, że śledzenie dostępności musi stać się świadome dystrybucji: oceniać kampanie po tym, ile żywych lokalizacji zostało, a nie po tym, czy jedna strona się rozwiązuje.